כל הכתבות של CyberNow בנושא מחקר אבטחה — 36 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית — עמוד 2 מתוך 4.
TianoCore פרסמה התראה על CVE-2026-97631, חולשה בציון 9.5 בדרייבר ה-PXE של edk2 שמאפשרת לכתוב מעבר לשדה של 504 בתים בזמן אתחול מהרשת. התיקון מוזג ל-master ב-15 באוקטובר, אבל אף גרסה יציבה עוד לא מכילה אותו, והוא היה פומבי בבקשת מיזוג ב-GitHub שלושה שבועות לפני שההתראה פורסמה.
חוקרי Zero Day Initiative פרסמו את הניתוח המלא של CVE-2026-35273, החולשה בציון 9.8 ש-ShinyHunters מנצלת מאז מאי. מסתבר שמדובר בשלוש חולשות נפרדות בשני רכיבים, וכולן נשענות על כתובת אחת שרשימת ההיתרים של PeopleSoft מאשרת כברירת מחדל.
Check Point Research פרסמה דוח על קמפיין שמפיץ נוזקה דרך מאגרי GitHub המתחזים לאפליקציות שולחן עבודה של ChatGPT ושל Claude, בהן מודלים שלא קיימים כמו GPT-6 Astra. שרת השליטה אינו מוטמע בקוד: הנוזקה מפרסרת את עמוד הטלגרם של התוקפים, גוזרת 50 בייטים מתמונת הפרופיל ומחשבת מהם את שם הדומיין.
Wiz עוקבת מאז 15 בספטמבר אחרי Gheist, קמפיין שמשתיל workflow בכל repository שה-token הגנוב מגיע אליו, מדפיס את הסודות ללוג של הריצה ומוריד אותו דרך ה-API של GitHub. אין שרת תוקף ואין חיבור יוצא שאפשר לחסום, וההגנה שגיטהאב הוסיפה ביולי עצרה את זה ב-repositories ציבוריים בלבד.
דוח Tailworm מתאר שרשרת שמתחילה בהפניית socket ונגמרת במכשיר זר שהצטרף לרשת כצומת לגיטימי. אין CVE, אין גרסה מתוקנת, וחוקרים אחרים חולקים על הקביעה שמדובר בתולעת.
OpenAI שלחה צוותים של מודלים חזיתיים לתקוף את התשתית שבה היא מאמנת אותם, והם יצאו מה-microVM, מצאו דרכים לאינטרנט דרך שירותי המטריקות והאימות, והקימו ערוץ תקשורת דרך זיכרון המעבד. במקביל בדקו METR ו-Redwood Research את מערכת הניטור עצמה, ומצאו שאפשר היה לעקוף אותה.
חברת Eye Security רשמה את הדומיין שממנו אפליקציית Popcorn Time חיפשה עדכונים, וגילתה שלושה מיליון מחשבי Windows ו-350 אלף מחשבי Mac שעוד פונים אליו. קובץ העדכון מגיע בחיבור לא מוצפן וללא בדיקת חתימה, ומותקן בהרשאות הגבוהות במערכת.
חולשה במפענח Brotli של גוגל, שארוז בתוך כל גרסה נתמכת של Node.js, מאפשרת כתיבה מחוץ לתחום והרצת קוד מרחוק. Imperva הדגימה אותה על build רשמי יום אחרי שהתיקון יצא, וגוגל נתנה לה ציון 9.2 בזמן ש-Node.js מדרג אותה High.
חוקר ב-FoxIO בדק עשר ספריות HTTP/3 ומצא בשבע מהן את אותה טעות בחשבון: הן מגבילות את מה שהגיע דחוס ברשת, ולא את מה שנשאר בזיכרון אחרי הפריסה. ב-Bun זה נגמר בשרת שלא חוזר לעצמו.
Fortinet פרסמה ב-13 באוקטובר הודעה בת שורה אחת על כתיבת קובץ שרירותית ב-FortiSIEM 7.5.0. שבוע אחריה פרסמה Horizon3 את הניתוח המלא: שירות gRPC שמאזין בלי אימות, יציאה מהתיקייה המותרת, ובייט אפס שמאפשר לדרוס סקריפט שה-cron מריץ כל דקה.